L’allenamento dell’AI di Meta con dati dei minori

Introduzione
Il 12 agosto 2025 il Tribunale Superiore Regionale di Schleswig-Holstein ha confermato che il programma di addestramento dei modelli di intelligenza artificiale di Meta processa inevitabilmente dati personali appartenenti a minori, nonostante le misure di protezione dichiarate dall’azienda. Il pronunciamento si inserisce in un contesto più ampio in cui gli strumenti automatizzati attivati da grandi piattaforme sociali sollevano questioni cruciali sia sotto il profilo dei diritti fondamentali alla protezione dei dati, sia dell’efficacia pratica delle salvaguardie tecniche offerte dagli operatori aziendali.

Fatti di causa
L’origine del contenzioso risiede nell’uso di contenuti pubblicati da utenti adulti su Facebook e Instagram, i quali, talvolta inconsapevolmente, includono immagini, testi, commenti o metadati riferiti a bambini e adolescenti. Questi contenuti, gestiti da adulti — singoli utenti o profili istituzionali come scuole, asili, associazioni giovanili — sono raccolti nelle procedure di addestramento per modelli AI di Meta, nonostante le politiche dell’azienda prevedano filtri e meccanismi di de-identificazione e controllo dell’età.

Decisione della corte
Il tribunale tedesco ha rigettato la richiesta di sospensiva presentata da una fondazione olandese in via d’urgenza. La decisione di non accoglierla non è stata basata su un giudizio di liceità del trattamento, bensì su ragioni procedurali: in particolare, il ritardo nel ricorso fatto dopo l’annuncio dell’iniziativa da parte di Meta il 14 aprile rendeva inadeguato il rimedio cautelare richiesto.

Criticità evidenziate

Inefficacia delle misure tecniche: secondo le analisi tecniche richieste dal tribunale, gli strumenti di de-identificazione e tokenizzazione adottati da Meta non impediscono quanto dovuto che i dati personali dei minori vengano incorporati nel dataset di training, né che essi possano persistere nei parametri del modello AI o essere potenzialmente ricavabili tramite prompt o valutazioni dirette del modello.
Vulnerabilità particolare dei minori: i bambini non possono rendersi conto se i loro dati compaiano nei sistemi, né controllare consapevolmente tali processi. Questo aggravato deficit di consapevolezza e potere decisionale li rende parte fragile della protezione dei dati, specie quando contenuti condivisi da adulti entrano il dataset senza possibilità di consenso o opposizione individuale da parte del minore stesso.
Profili istituzionali: profili gestiti da scuole, asili o organizzazioni giovanili costituiscono fonti particolari di esposizione, dal momento che l’account è intestato a un adulto ma presenta contenuti riferiti a bambini. Meta non esclude tali profili dall’addestramento, e il sistema di verifica dell’età non distingue adeguatamente tra utenti adulti privati e coloro che pubblicano contenuti su minori attraverso canali istituzionali.
Quadro normativo e limiti procedurali: sebbene la Corte ravvisi violazioni probabili dell’art. 9 del GDPR — che tutela categorie particolari di dati, includendo quelli relativi a minori — l’esito del procedimento d’urgenza non ha permesso di ottenere un provvedimento immediato, lasciando il trattamento in corso mentre le autorità competenti segnalano il problema.

Conseguenze giuridico-politiche

Il caso mette in luce una divergenza tra l’apparato normativo (GDPR, articoli 6 e 9, protezione dei dati particolari, misure in favore dei minori) e la concretezza dell’attuazione tecnica da parte delle piattaforme digitali.
Solleva interrogativi sul “legittimo interesse” di Meta come base giuridica: esso potrebbe sostenere il trattamento pubblico e commerciale dell’AI, ma difficilmente giustifica il trattamento di dati sensibili appartenenti a soggetti non consenzienti, specialmente se minorenni.
Evidenzia la necessità di adeguati strumenti procedurali per interventi cautelari efficaci quando sono a rischio i diritti dei minori, oltre a meccanismi di vigilanza inter-autorità più rapidi e coordinati.

Rilevanza e prospettive future
La pronuncia di Schleswig-Holstein si inserisce nel più ampio dibattito europeo sull’intelligenza artificiale, il GDPR e la tutela dei soggetti più vulnerabili. Rimane aperta la questione della revisione del dispositivo tecnico di Meta, della definizione normativa di “combinazione” e “incrocio” di dati ai sensi del Digital Markets Act, e delle responsabilità delle autorità nazionali e sovranazionali nel prevenire trattamenti lesivi della privacy infantile.